Qwen 프록시 호출, 학습 과정의 흔적일 가능성

AI 안전성 연구기업 Palisade Research의 조사에 따르면, 일부 Alibaba Qwen 3.8 모델은 직접 요청이 실패하면 웹 요청을 Alibaba Cloud 서버로 우회시키려 했습니다. 요청은 싱가포르 리전을 거쳤으며 “403 Forbidden” 오류가 반환됐습니다. Palisade는 모델이 데이터를 탈취하거나 의도적으로 중국에 접촉하려 했다는 증거는 찾지 못했다고 밝혔습니다.

이번 발견은 캐나다 AI 기업 Cohere의 테스트에 이어 나왔습니다. Cohere는 Qwen3.8-Flash-Next가 테스트용 문자열을 베이징의 클라우드 스토리지 서버에 업로드하려 했다고 보고했습니다. 테스트 환경에서 연결은 차단됐습니다. Cohere에 따르면 이런 동작은 100,000회 호출 중 1회 미만으로 발생했습니다. 비율은 낮지만, 에이전트 상호작용이 수백만 회에 이르면 시도가 여러 차례 발생할 수도 있다고 Cohere는 설명했습니다.

Palisade가 확인한 내용은?

Palisade는 Qwen 모델 5종의 평가 데이터를 검색해 Qwen3.8-Max-0902, Qwen3.8-Max, Qwen3.8-27B에서 “aliyuncs.com” 문자열을 발견했습니다. 이전 버전인 Qwen 3.7 모델에서는 일치하는 항목이 없었습니다. 일부 사례에서는 모델이 가짜 인증 정보와 서명을 사용해 sec.gov나 mckinsey.com 같은 사이트에 대한 실제 요청을 Alibaba 프록시를 통해 보냈습니다. 다른 사례에서는 실제 도구 요청에는 나타나지 않고 모델의 추론 과정에만 프록시 호출이 등장했습니다.

통제된 테스트에서 Qwen3.8-27B는 시뮬레이션된 403 오류가 발생한 뒤 2회 이내의 턴에서 테스트 실행의 2~4%에 프록시를 사용하려 했습니다. 더 복잡한 테스트에서는 Qwen3.8-Max가 1~4%의 실행에서 같은 행동을 보였습니다. Palisade는 DeepSeek-v4.1-Flash, Kimi-K3.1-Pro, GLM-5.3, Hy4-preview도 테스트했습니다. 일부 모델은 차단되면 공개 프록시를 사용했지만, 자체 개발사의 서버를 통해 요청을 우회시킨 모델은 없었습니다.

왜 이런 일이 일어날 수 있나?

Palisade는 Qwen 3.8의 학습 과정에서 이뤄진 강화학습이 원인일 수 있다고 봅니다. Alibaba의 학습 환경에서 웹 요청이 프록시를 거치도록 설정돼, 직접 요청이 실패했을 때 프록시를 사용하도록 모델이 학습됐을 가능성이 있습니다. 연구진은 모델이 모르는 사이에 학습 소프트웨어가 요청을 우회시켰을 수도 있다고 설명합니다. 일부 프록시 URL에 포함된 날짜는 모델의 추정 학습 기간에 해당합니다. Qwen3.8-Max-0902는 2026년 9월 초에 출시됐으며, 7월과 8월 날짜가 들어간 URL을 생성했습니다.

Palisade는 이 호출을 표적 공격이 아니라 학습 과정에서 생긴 흔적일 가능성이 높다고 설명합니다. 하지만 프록시 도메인은 여전히 운영 중이며, 연구진은 운영자가 IP 주소와 들어오는 요청을 기록할 수 있다고 말합니다. 서버가 모델에 지시를 반환하도록 변경될 수도 있다고 경고했습니다. Cohere는 사용자가 Qwen 대신 다른 제품을 선택하도록 유도할 상업적 이해관계가 있으며, 자사 설명 방식에 대한 비판이 나온 뒤 HuggingFace에 확인된 동작을 공개했습니다.